卖游戏外挂是否构成犯罪，以及判几年，取决于外挂的技术属性和销售规模。法律对外挂的定性不是看它叫不叫外挂，而是看它有没有突破计算机信息系统的安全防护机制、篡改后台数据、干预程序正常运行。
最常见的外挂类型是具备侵入、非法控制计算机信息系统功能的程序。刑法第二百八十五条第三款规定，提供专门用于侵入、非法控制计算机信息系统的程序、工具，情节严重的构成犯罪。两高司法解释明确了情节严重的标准，违法所得五千元以上或者提供工具二十人次以上就可以入罪。
量刑分两档。情节严重的，处三年以下有期徒刑或者拘役，并处或者单处罚金。情节特别严重的，处三年以上七年以下有期徒刑，并处罚金。情节特别严重的标准是违法所得达到情节严重的五倍，也就是违法所得两万五千元以上。
有法院判决的案例中，被告人销售外挂获利二十余万元，以提供侵入、非法控制计算机信息系统程序、工具罪判处有期徒刑三年，缓刑三年，并处罚金三万元。获利六十三万余元的案件，同样罪名判处有期徒刑三年，缓刑四年，并处罚金四万元。违法所得四十余万元的，判处有期徒刑三年，缓刑三年，并处罚金二万元。
外挂如果主要是修改游戏数据、避开游戏的技术保护措施，还可能构成侵犯著作权罪。有法院以侵犯著作权罪判处制售外挂的被告人一年三个月有期徒刑，缓刑二年，并处罚金三万元。同一行为同时触犯两个罪名的，按处罚较重的规定定罪。
除了刑事责任，卖外挂还要承担民事赔偿责任。游戏运营商可以起诉外挂制售者，要求停止侵害、赔偿经济损失。有法院判决外挂销售者赔偿游戏运营商经济损失及合理开支数十万元。刑事处罚和民事赔偿并行，卖外挂的人坐完牢出来，还要面对游戏公司的索赔。
违法所得被追缴，罚金照判，赔偿另算，几笔账加起来，卖外挂赚的钱远远不够填窟窿。未成年人和在校学生参与外挂销售的情况时有发生，一旦留下刑事案底，对升学就业的影响长期存在。
买卖游戏账号的法律定性比外挂复杂。普通玩家之间的账号转让，法律上不直接规定为违法犯罪。民法典第一百二十七条规定，法律对数据、网络虚拟财产的保护有规定的，依照其规定。游戏账号作为虚拟财产，具有可管理、可转移、有价值的属性，在民事层面可以成为交易对象。
以牟利为目的的批量倒卖就不一样了。网游工作室大量收购、转售游戏账号，涉及的问题超出普通玩家交易的范畴。有法院判决认定，网游工作室的账号买卖合同违反网络实名制规定，架空未成年人防沉迷机制，侵害游戏运营商经营权，损害社会公序良俗，应属无效合同。
批量倒卖账号还可能涉及刑事犯罪。非法获取公民个人信息批量注册账号再出售的，构成侵犯公民个人信息罪。使用技术手段绕过游戏安全防护批量注册账号的，构成非法获取计算机信息系统数据罪。有案件被告人以这两个罪名数罪并罚，决定执行有期徒刑四年六个月，并处罚金十八万元。
卖出账号后再通过申诉找回的，可能构成盗窃罪。有法院认定，游戏账号属于刑法意义上的财物，原主人通过虚假申诉找回已售账号，消灭了买受人的规范占有，建立新的占有，符合盗窃罪的构成要件。普通玩家转让自用账号的风险主要在账号被封和民事违约，批量倒卖和卖出找回的风险则是刑事层面的，性质完全不同。